Google Fonts: Komfortabel, aber nicht konform

Was beim Laden passiert

Wenn eine Website Google Fonts über fonts.googleapis.com einbindet, sendet der Browser des Besuchers bei jedem Seitenaufruf einen HTTP-Request an Google-Server. Dieser Request enthält die IP-Adresse des Nutzers, den User-Agent-String (Browser, Betriebssystem, Geräteinformationen), den Referrer (welche Seite geladen wird) und gegebenenfalls bestehende Google-Cookies. Diese Daten werden an Server übermittelt, die in der Regel in den USA stehen.

Aus datenschutzrechtlicher Sicht handelt es sich dabei um eine Übermittlung personenbezogener Daten in ein Drittland. Seit dem Schrems-II-Urteil des EuGH (2020) ist die Rechtsgrundlage für solche Transfers erheblich eingeschränkt. Das EU-US Data Privacy Framework bietet zwar einen neuen Rahmen, seine Dauerhaftigkeit ist jedoch rechtlich umstritten – insbesondere nach den politischen Veränderungen in den USA seit Anfang 2025, die den Fortbestand des Privacy and Civil Liberties Oversight Board (PCLOB) in Frage stellen.

Die technische Kette im Detail

Der Datenfluss bei einem Google-Fonts-Request ist komplexer, als er auf den ersten Blick erscheint. Der Browser führt zunächst einen DNS-Lookup für fonts.googleapis.com durch – je nach Konfiguration über einen DNS-Resolver, der selbst Nutzerdaten erfasst. Anschließend wird eine TLS-Verbindung aufgebaut und die CSS-Datei geladen, die wiederum auf die eigentlichen Font-Dateien unter fonts.gstatic.com verweist. Das bedeutet: Ein einziger Font-Import erzeugt mindestens zwei externe Requests an zwei verschiedene Google-Domains.

Darüber hinaus setzt Google HTTP-Header wie x-client-data, die zusätzliche Informationen über den Browser-Zustand enthalten können. In Chrome-Browsern können diese Header auch Informationen über aktivierte Experiments (Field Trials) enthalten. Das Gesamtbild ist ein Datenfluss, der deutlich über das hinausgeht, was für die Auslieferung einer Schriftdatei technisch notwendig wäre.

Warum Consent allein nicht reicht

Viele Websites versuchen, Google Fonts über einen Consent-Banner zu legitimieren. Das funktioniert in der Praxis selten zuverlässig: Der Font-Request wird oft vor oder parallel zum Consent-Banner ausgelöst, weil Schriften für das Rendern der Seite benötigt werden. Selbst mit korrekter Implementierung bleibt die Frage, ob die Einwilligung für einen technisch nicht notwendigen Drittstaaten-Transfer überhaupt auf Art. 6 Abs. 1 lit. a DSGVO gestützt werden kann, wenn eine datenschutzfreundlichere Alternative (Self-Hosting) existiert.

Das Prinzip der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) spricht gegen die externe Einbindung: Wenn dasselbe Ergebnis – die Anzeige einer Schrift – ohne Datenübermittlung an Dritte erreichbar ist, ist die datensparsamere Variante zu bevorzugen. Mehrere Landesdatenschutzbeauftragte haben diese Einschätzung bestätigt.

Das DPF-Risiko

Das EU-US Data Privacy Framework (DPF), das seit Juli 2023 als Nachfolger des Privacy Shield einen neuen Angemessenheitsbeschluss bietet, steht auf wackeligem Fundament. Die Grundlage – Executive Order 14.086 – kann von der US-Regierung jederzeit widerrufen werden. Microsofts Frankreich-Präsident konnte unter Eid nicht garantieren, dass Kundendaten nie an US-Behörden übertragen werden. Norwegens Datenschutzbehörde empfiehlt bereits Exit-Strategien für US-Cloud-Dienste. Organisationen, die sich bei Google Fonts auf das DPF verlassen, gehen ein regulatorisches Risiko ein, das durch Self-Hosting vollständig eliminiert werden kann.

Self-Hosting als Lösung

Die technische Lösung ist unkompliziert: Google Fonts können heruntergeladen und von der eigenen Infrastruktur ausgeliefert werden. Dienste wie Fontsource oder das google-webfonts-helper-Tool automatisieren diesen Prozess. Die Schritte umfassen:

• Herunterladen der benötigten Schriftschnitte im WOFF2-Format
• Erstellung der zugehörigen @font-face-Deklarationen in CSS
• Integration in den eigenen Build-Prozess
• Auslieferung über den eigenen Server oder ein EU-basiertes CDN

Neben der DSGVO-Konformität bietet Self-Hosting weitere Vorteile: bessere Performance durch Wegfall des DNS-Lookups zu fonts.googleapis.com, volle Kontrolle über Caching-Strategien und die Möglichkeit zum gezielten Font-Subsetting.

Implementierung mit Fontsource

Fontsource stellt Google Fonts als npm-Pakete bereit. Die Integration in ein Projekt ist in drei Schritten erledigt:

npm install @fontsource-variable/inter

@import '@fontsource-variable/inter';
body { font-family: 'Inter Variable', sans-serif; }

Die Font-Dateien werden in den Build gebündelt und vom eigenen Server ausgeliefert. Kein externer Request, kein DNS-Lookup, keine Datenschutzprobleme. Fontsource unterstützt über 1.500 Schriften und bietet sowohl statische als auch Variable-Font-Varianten an.

Bunny Fonts als Drop-in-Ersatz

Für Organisationen, die keine Build-Pipeline anpassen können oder wollen, bietet Bunny Fonts (Betreiber: BunnyWay d.o.o., Rechenzentren in der EU) einen Drop-in-Ersatz. Die Umstellung erfordert lediglich den Austausch der Domain:

<!-- Vorher -->
<link href="https://fonts.googleapis.com/css2?family=Inter" rel="stylesheet">

<!-- Nachher -->
<link href="https://fonts.bunny.net/css?family=Inter" rel="stylesheet">

Bunny Fonts loggt laut eigener Dokumentation keine IP-Adressen und setzt keine Cookies. Die Server stehen ausschließlich in der EU. Als Zwischenlösung ist das eine pragmatische Option – langfristig bleibt Self-Hosting die souveränste Variante.

Performance-Vorteile des Self-Hostings

Self-Hosting verbessert nicht nur den Datenschutz, sondern auch die Performance messbar. Der Wegfall des DNS-Lookups zu fonts.googleapis.com spart typischerweise 50–150 ms. Die Eliminierung des zweiten Requests zu fonts.gstatic.com spart weitere 30–80 ms. Durch die Auslieferung vom selben Origin können Fonts außerdem vom HTTP/2-Multiplexing profitieren und werden durch die bestehende TLS-Verbindung geladen, ohne einen neuen Handshake zu erfordern.

In Kombination mit font-display: swap und Preloading (<link rel="preload" as="font">) lässt sich der Largest Contentful Paint (LCP) – ein Core Web Vital – signifikant verbessern.

Kernpunkte

• Jeder Google-Fonts-Request überträgt IP-Adresse, User-Agent und Referrer an US-Server – personenbezogene Daten nach DSGVO.
• Ein Font-Import erzeugt mindestens zwei externe Requests an zwei Google-Domains – der Datenfluss ist umfangreicher als die reine Schriftauslieferung.
• Das LG München I hat 2022 Schadenersatz für die Einbindung ohne Einwilligung zugesprochen – seitdem Abmahnwellen in DE und AT.
• Das EU-US Data Privacy Framework steht auf unsicherer Grundlage – sich darauf zu verlassen ist ein regulatorisches Risiko.
• Self-Hosting ist technisch einfach und verbessert neben der DSGVO-Konformität auch Performance und Caching-Kontrolle.
• Fontsource liefert Google Fonts als npm-Pakete – Integration in drei Zeilen, keine externen Requests.
• Bunny Fonts (Österreich) bietet einen datenschutzkonformen Drop-in-Ersatz, der keine Code-Änderungen erfordert.
• Font-Subsetting reduziert die Dateigröße und eliminiert unnötige Glyphen für Sprachen, die nicht benötigt werden.